förslag till avgörande av generaladvokat Pikamäe – mål C-634/21 SCHUFA Holding m.fl. (scoring)

I. Inledning

1. Förevarande begäran om förhandsavgörande som Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland) framställt med stöd av artikel 267 FEUF avser tolkningen av artiklarna 6.1 och 22.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) (nedan kallad dataskyddsförordningen).

2. Begäran har ingetts inom ramen för en tvist mellan sökanden OQ, en fysisk person, och Land Hessen (delstaten Hessen, Tyskland), företrädd av Hessischer Beauftragter für Datenschutz und Informationsfreiheit (ombud för dataskydd och informationsfrihet för delstaten Hessen) (nedan kallad HBDI), angående skydd av personuppgifter. SCHUFA Holding AG (nedan kallat SCHUFA), som är ett privaträttsligt organ, har intervenerat till stöd för HBDI. SCHUFA har inom ramen för sin ekonomiska verksamhet, som bestod i att tillhandahålla information till sina kunder om tredje personers betalningsförmåga, lämnat ett kreditbetyg (score) till ett kreditinstitut avseende sökanden, som tjänade som grund för att vägra den kredit som sökanden hade begärt. Sökanden begärde därefter att SCHUFA skulle radera registreringen avseende denna och ge den tillgång till motsvarande uppgifter, men SCHUFA lämnade endast ut det relevanta kreditbetyget till sökanden och allmänt de principer som ligger till grund för metoden för beräkning av kreditbetyget, utan att upplysa sökanden om vilka specifika uppgifter som beaktats vid beräkningen och om vilken relevans dessa uppgifter hade i detta sammanhang, och hävdade att beräkningsmetoden utgör affärshemligheter.

3. I den mån sökanden har gjort gällande att SCHUFA:s avslag på dess begäran strider mot systemet för skydd av uppgifter, ska EU-domstolen uttala sig om de begränsningar som dataskyddsförordningen föreskriver för ekonomisk verksamhet som bedrivs av upplysningsorgan inom finanssektorn, särskilt vad gäller förvaltning av uppgifter och den inverkan som ska tillerkännas affärshemligheter. EU-domstolen ska även precisera omfattningen av de regleringsbefogenheter som den nationella lagstiftaren tilldelas genom vissa bestämmelser i dataskyddsförordningen genom undantag från det allmänna harmoniseringssyfte som eftersträvas med denna rättsakt.

II. Tillämpliga bestämmelser

A. Unionsrätt

4. I artikel 4.4 i dataskyddsförordningen föreskrivs följande:

”I denna förordning avses med

…

4. profilering: varje form av automatisk behandling av personuppgifter som består i att dessa personuppgifter används för att bedöma vissa personliga egenskaper hos en fysisk person, i synnerhet för att analysera eller förutsäga denna fysiska persons arbetsprestationer, ekonomiska situation, hälsa, personliga preferenser, intressen, pålitlighet, beteende, vistelseort eller förflyttningar.”

5. I artikel 6 i dataskyddsförordningen, med rubriken ”Laglig behandling av personuppgifter”, anges följande:

”1. Behandling är endast laglig om och i den mån som åtminstone ett av följande villkor är uppfyllt:

a) Den registrerade har lämnat sitt samtycke till att dennes personuppgifter behandlas för ett eller flera specifika ändamål.

b) Behandlingen är nödvändig för att fullgöra ett avtal i vilket den registrerade är part eller för att vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås.

c) Behandlingen är nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige.

d) Behandlingen är nödvändig för att skydda intressen som är av grundläggande betydelse för den registrerade eller för en annan fysisk person.

e) Behandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.

f) Behandlingen är nödvändig för ändamål som rör den personuppgiftsansvariges eller en tredje parts berättigade intressen, om inte den registrerades intressen eller grundläggande rättigheter och friheter väger tyngre och kräver skydd av personuppgifter, särskilt när den registrerade är ett barn.

Led f i första stycket ska inte gälla för behandling som utförs av offentliga myndigheter när de fullgör sina uppgifter.

2. Medlemsstaterna får behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning med hänsyn till behandling för att efterleva punkt 1 c och e genom att närmare fastställa specifika krav för uppgiftsbehandlingen och andra åtgärder för att säkerställa en laglig och rättvis behandling, inbegripet för andra specifika situationer då uppgifter behandlas i enlighet med kapitel IX.

3. Den grund för behandlingen som avses i punkt 1 c och e ska fastställas i enlighet med

a) unionsrätten, eller

b) en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av.

Syftet med behandlingen ska fastställas i den rättsliga grunden eller, i fråga om behandling enligt punkt 1 e, ska vara nödvändigt för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning. Den rättsliga grunden kan innehålla särskilda bestämmelser för att anpassa tillämpningen av bestämmelserna i denna förordning, bland annat: de allmänna villkor som ska gälla för den personuppgiftsansvariges behandling, vilken typ av uppgifter som ska behandlas, vilka registrerade som berörs, de enheter till vilka personuppgifterna får lämnas ut och för vilka ändamål, ändamålsbegränsningar, lagringstid samt typer av behandling och förfaranden för behandling, inbegripet åtgärder för att tillförsäkra en laglig och rättvis behandling, däribland för behandling i andra särskilda situationer enligt kapitel IX. Unionsrätten eller medlemsstaternas nationella rätt ska uppfylla ett mål av allmänt intresse och vara proportionell mot det legitima mål som eftersträvas.

4. Om en behandling för andra ändamål än det ändamål för vilket personuppgifterna samlades in inte grundar sig på den registrerades samtycke eller på unionsrätten eller medlemsstaternas nationella rätt som utgör en nödvändig och proportionell åtgärd i ett demokratiskt samhälle för att skydda de mål som avses i artikel 23.1, ska den personuppgiftsansvarige för att fastställa huruvida behandling för andra ändamål är förenlig med det ändamål för vilket personuppgifterna ursprungligen samlades in bland annat beakta följande:

a) Kopplingar mellan de ändamål för vilka personuppgifterna har samlats in och ändamålen med den avsedda ytterligare behandlingen.

b) Det sammanhang inom vilket personuppgifterna har samlats in, särskilt förhållandet mellan de registrerade och den personuppgiftsansvarige.

c) Personuppgifternas art, särskilt huruvida särskilda kategorier av personuppgifter behandlas i enlighet med artikel 9 eller huruvida personuppgifter om fällande domar i brottmål och överträdelser behandlas i enlighet med artikel 10.

d) Eventuella konsekvenser för registrerade av den planerade fortsatta behandlingen.

e) Förekomsten av lämpliga skyddsåtgärder, vilket kan inbegripa kryptering eller pseudonymisering.”

6. I artikel 15 i dataskyddsförordningen, med titeln ”Den registrerades rätt till tillgång”, föreskrivs följande:

”1. Den registrerade ska ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas och i så fall få tillgång till personuppgifterna och följande information:

…

h) Förekomsten av automatiserat beslutsfattande, inbegripet profilering enligt artikel 22.1 och 22.4, varvid det åtminstone i dessa fall ska lämnas meningsfull information om logiken bakom samt betydelsen och de förutsedda följderna av sådan behandling för den registrerade.

…”

7. I artikel 21 i dataskyddsförordningen, med rubriken ”Rätt att göra invändningar”, anges följande:

”1. Den registrerade ska, av skäl som hänför sig till hans eller hennes specifika situation, ha rätt att när som helst göra invändningar mot behandling av personuppgifter avseende honom eller henne som grundar sig på artikel 6.1 e eller f, inbegripet profilering som grundar sig på dessa bestämmelser. Den personuppgiftsansvarige får inte längre behandla personuppgifterna såvida denne inte kan påvisa tvingande berättigade skäl för behandlingen som väger tyngre än den registrerades intressen, rättigheter och friheter eller om det sker för fastställande, utövande eller försvar av rättsliga anspråk.

…”

8. I artikel 22 i dataskyddsförordningen med rubriken ”Automatiserat individuellt beslutsfattande, inbegripet profilering” föreskrivs följande:

”1. Den registrerade ska ha rätt att inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne.

2. Punkt 1 ska inte tillämpas om beslutet

a) är nödvändigt för ingående eller fullgörande av ett avtal mellan den registrerade och den personuppgiftsansvarige,

b) tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av och som fastställer lämpliga åtgärder till skydd för den registrerades rättigheter, friheter och berättigade intressen, eller

c) grundar sig på den registrerades uttryckliga samtycke.

3. I fall som avses i punkt 2 a och c ska den personuppgiftsansvarige genomföra lämpliga åtgärder för att säkerställa den registrerades rättigheter, friheter och rättsliga intressen, åtminstone rätten till personlig kontakt med den personuppgiftsansvarige för att kunna utrycka sin åsikt och bestrida beslutet.

4. Beslut enligt punkt 2 får inte grunda sig på de särskilda kategorier av personuppgifter som avses i artikel 9.1, såvida inte artikel 9.2 a eller g gäller och lämpliga åtgärder som ska skydda den registrerades berättigade intressen har vidtagits.”

B. Tysk rätt

9. I 31 § i Bundesdatenschutzgesetz (den tyska dataskyddslagen) av den 30 juni 2017, ändrad genom lag av den 20 november 2019 (nedan kallad BDSG), med rubriken ”Skydd av affärsverksamhet i samband med ’scoring ’ [fastställande av kreditbetyg] och kreditupplysningar” föreskrivs följande:

”(1). Användning av ett sannolikhetsvärde vad gäller en fysisk persons framtida beteende, för att besluta om att ingå i, kvarstå i eller avsluta ett avtalsförhållande med denna person (’scoring ’) är endast tillåten, om

1) bestämmelserna i dataskyddslagstiftningen iakttas.

2) de uppgifter som används för att beräkna sannolikheten med hjälp av en vetenskapligt erkänd matematiskt statistisk metod bevisligen är relevanta för beräkningen av sannolikheten för beteendet i fråga.

3) inte uteslutande adressuppgifter har använts för beräkningen av sannolikheten, och

4) om adressuppgifter används, den registrerade har underrättats om den planerade användningen av dessa uppgifter innan sannolikheten beräknas; underrättelsen ska dokumenteras.

(2). Användning av ett sannolikhetsvärde som fastställts av kreditupplysningsföretagen vad gäller en fysisk persons betalningsförmåga och betalningsvilja är vid inkludering av information om fordringar endast tillåten, om de villkor som anges i punkt 1 är uppfyllda och endast sådana fordringar avseende ett belopp som inte har betalats, trots att fordran redan förfallit till betalning, beaktas

1) som har fastställts genom en lagakraftvunnen dom eller en dom som förklarats vara omedelbart verkställbar till dess lagakraftägande dom föreligger eller för vilken det finns en exekutionstitel i enlighet med 794 § Zivilprozessordnung (civilprocesslagen),

2) som har fastställts i enlighet med 178 § Insolvenzordnung (insolvenslagen) och som inte har bestritts av gäldenären inom prövotiden,

3) som gäldenären uttryckligen har erkänt,

4) med avseende på vilka

a) gäldenären har anmodats att uppfylla sina skyldigheter minst två gånger skriftligen efter den tidpunkt då fordran förföll till betalning,

b) den första anmodan skickats mer än fyra veckor tidigare,

c) gäldenären tidigare, men tidigast vid den första anmodan, har underrättats om ett eventuellt beaktande av ett kreditupplysningsföretag,

d) gäldenären inte har bestritt fordran, eller

5) det bakomliggande avtalsförhållandet kan sägas upp utan varsel på grund av icke betalda förfallna skulder och med avseende på vilka gäldenären i förväg har underrättats om ett eventuellt beaktande av ett kreditupplysningsföretag.

Tillåtligheten av behandling, inbegripet beräkning av sannolikhetsvärden, av andra uppgifter som är relevanta med avseende på kreditvärdigheten enligt den allmänna dataskyddslagstiftningen påverkas inte.”

III. Bakgrunden, det nationella förfarandet och tolkningsfrågorna

10. Det framgår av beslutet om hänskjutande att sökanden i målet vid den nationella domstolen inte beviljades kredit på grund av en bedömning av sökandens kreditvärdighet som hade utförts av SCHUFA. SCHUFA är ett privaträttsligt bolag som driver en kreditupplysningstjänst och som tillhandahåller sina kunder information om konsumenters kreditvärdighet. För detta ändamål utför SCHUFA bedömningar av kreditvärdigheten för vilka bolaget på grundval av vissa egenskaper hos en person gör en förutsägelse, med stöd av en matematisk statistisk metod, om sannolikheten för ett framtida beteende, såsom återbetalning av ett lån.

11. Sökanden begärde att SCHUFA skulle radera de oriktiga uppgifter som rörde sökanden och ge sökanden tillgång till de registrerade uppgifterna om sökanden. SCHUFA lämnade bland annat ut det kreditbetyg som hade beräknats för sökanden till denne och upplyste sökanden om hur dess beräkning av kreditbetyget i princip fungerar, men underrättade inte sökanden vilken betydelse de olika uppgifterna haft vid beräkningen. SCHUFA anser att företaget inte är skyldigt att lämna ut information om beräkningsmetoder, eftersom informationen är sekretessbelagd eller utgör affärshemligheter. Dessutom har SCHUFA anfört att det endast tillhandahåller information till sina kunder, som fattar de egentliga besluten om kreditavtal.

12. Sökanden lämnade in ett klagomål till svaranden, en dataombudsman, med anledning av SCHUFA:s rapport, och yrkade att svaranden skulle ålägga bolaget att tillhandahålla och radera information i enlighet med sökandens begäran. I sitt beslut om klagomålet fann HBDI att det inte fanns någon anledning att utverka ytterligare ett ingripande gentemot bolaget på grund av att det uppfyllde de ovannämnda kraven i den tyska federala dataskyddslagen.

13. Sökanden väckte talan vid den hänskjutande domstolen mot svarandens beslut. Den hänskjutande domstolen anser att det, för att avgöra det nationella målet, är nödvändigt att fastställa huruvida den verksamhet som bedrivs av aktörer som tillhandahåller kreditupplysningstjänster genom vilken dessa fastställer ett kreditbetyg för personer och överför det till tredje man, utan någon annan rekommendation eller kommentar, omfattas av tillämpningsområdet för artikel 22.1 i dataskyddsförordningen.

14. Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden) har beslutat att vilandeförklara målet och ställa följande frågor till EU-domstolen:

”1) Ska artikel 22.1 i [dataskyddsförordningen] tolkas på så sätt att ett automatiserat upprättande av ett sannolikhetsvärde om den registrerades förmåga att betala tillbaka en kredit i sig utgör ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne, när detta värde som fastställs med hjälp av personuppgifter avseende den registrerade överförs av den personuppgiftsansvarige till en personuppgiftsansvarig tredje man och denne grundar sitt beslut om att ingå i, kvarstå i eller avsluta ett avtalsförhållande med den registrerade på detta värde?

2) För det fall den första tolkningsfrågan ska besvaras nekande: Ska artiklarna 6.1 och 22 i [dataskyddsförordningen] tolkas på så sätt att de utgör hinder för en nationell lagstiftning, enligt vilken användning av ett sannolikhetsvärde – i förevarande fall vad gäller en fysisk persons betalningsförmåga och betalningsvilja, vid inkludering av information avseende fordringar – vad gäller en fysisk persons framtida beteende, för att besluta om att ingå i, kvarstå i eller avsluta ett avtalsförhållande med denna person (’scoring ’) endast är tillåten, om, vissa ytterligare villkor som närmare anges i beslutet om hänskjutande är uppfyllda?”

IV. Förfarandet vid domstolen

15. Beslutet om hänskjutande av den 1 oktober 2021 inkom till domstolens kansli den 15 oktober 2021.

16. Skriftliga yttranden har inkommit från parterna i det nationella målet, SCHUFA, den danska, den portugisiska och den finländska regeringen samt Europeiska kommissionen, inom den frist som föreskrivs i artikel 23 i stadgan för Europeiska unionens domstol.

17. Vid förhandlingen den 26 januari 2023 framförde ombuden för parterna i de nationella målen, SCHUFA och företrädarna för den tyska och den finska regeringen samt kommissionen sina synpunkter muntligen.

V. Rättslig bedömning

A. Inledande anmärkningar

18. Eftersom ömsesidigt förtroende är grunden för alla avtalsmässiga åtaganden i en marknadsekonomi är det utifrån ett entreprenörsmässigt perspektiv i princip förståeligt att leverantörer av tjänster och varor önskar få kännedom om sina kunder och de risker som är förknippade med ett sådant avtalsmässigt åtagande. Kreditupplysningsföretag kan bidra till att upprätthålla detta ömsesidiga förtroende genom statistiska metoder som gör det möjligt för företag att fastställa om vissa relevanta kriterier, inklusive kundernas betalningsförmåga, är uppfyllda i det aktuella fallet. Därigenom hjälper de företagen att följa olika unionsrättsliga bestämmelser som just ålägger dem en sådan skyldighet för vissa kategorier av avtal, särskilt kreditavtal. Vissa av de metoder som används kan stödja sig på kunders personuppgifter, som samlas in och behandlas på ett automatiserat sätt med hjälp av datorteknik. Mot detta intresse står de registrerades intresse av att få kännedom om hur uppgifterna förvaltas och registreras och vilka metoder företagen använder för att fatta beslut gentemot sina kunder.

19. I och med dataskyddsförordningen som är tillämplig sedan den 25 maj 2018, har det inrättats en rättslig ram som syftar till att beakta ovannämnda intressen i hela unionen, bland annat genom att slå fast vissa begränsningar för behandlingen av personuppgifter. Särskilda begränsningar gäller således för automatiserad behandling som kan få rättsliga följder för en fysisk person eller i betydande grad påverkar den. Dessa begränsningar är motiverade i samband med profilering, det vill säga en utvärdering av en fysisk persons egenskaper som syftar till att analysera eller förutsäga en fysisk persons ekonomiska situation, pålitlighet eller beteende. De begränsningar som avses i artikel 22 i dataskyddsförordningen, vilka är relevanta i förevarande mål och som syftar till att skydda den mänskliga värdigheten, hindrar i detta sammanhang att den registrerade blir föremål för ett beslut som enbart grundas på automatiserad behandling, utan ingripande av en människa som i förekommande fall kan kontrollera att beslutet har fattats på ett korrekt, rättvist och icke-diskriminerande sätt. Det mänskliga ingripande som ska föreskrivas inom ramen för denna typ av automatiserad behandling av uppgifter säkerställer att den registrerade har möjlighet att uttrycka sin ståndpunkt, få en förklaring vad gäller det beslut som fattats efter denna typ av utvärdering och bestrida det om än annan ståndpunkt intas än som den som intagits i beslutet. Det är just omfattningen av de begränsningar som avses i artikel 22 i dataskyddsförordningen som är föremål för den första tolkningsfrågan.

20. Även om det i och med dataskyddsförordningen har inrättats ett övergripande regelverk för skydd av personuppgifter som i princip är fullständigt, ska det påpekas att vissa bestämmelser ger medlemsstaterna möjlighet att föreskriva ytterligare, strängare eller avvikande nationella bestämmelser som ger medlemsstaterna ett utrymme för skönsmässig bedömning för hur dessa bestämmelser kan genomföras (”öppnandeklausuler”), under förutsättning att dessa bestämmelser inte undergräver innehållet i och målen med dataskyddsförordningen. Omfattningen av medlemsstaternas normgivningsbefogenheter står i centrum för den andra tolkningsfrågan som ska prövas i förevarande förslag till avgörande.

B. Upptagande till sakprövning

21. HBDI och SCHUFA har hävdat att begäran om förhandsavgörande inte kan tas upp till sakprövning. SCHUFA har i detta avseende gjort gällande att denna begäran varken är nödvändig för att lösa tvisten eller tillräckligt motiverad, att den öppnar dörren för ett andra rättsmedel och att den står i strid med de andra begäranden om förhandsavgörande som samma hänskjutande domstol har framställt och sedan dragit tillbaka.

1. Huruvida tolkningsfrågorna är avgörande för utgången i målet

22. Det ska inledningsvis erinras om att det av EU-domstolens fasta praxis följer att det, inom ramen för det samarbete mellan nationella domstolar och EU-domstolen som införts genom artikel 267 FEUF, uteslutande ankommer på den nationella domstolen, vid vilken målet anhängiggjorts och vilken har ansvaret för det rättsliga avgörandet, att mot bakgrund av de särskilda omständigheterna i målet bedöma såväl om ett förhandsavgörande är nödvändigt för att döma i saken som relevansen av de frågor som ställs till EU-domstolen. EU-domstolen är följaktligen i princip skyldig att meddela ett förhandsavgörande när de frågor som ställts av den nationella domstolen avser tolkningen eller giltigheten av en unionsbestämmelse. Av detta följer att frågor som rör unionsrätten ska presumeras vara relevanta. En begäran från en nationell domstol kan bara avvisas då det är uppenbart att den begärda tolkningen av unionsrätten inte har något samband med de verkliga omständigheterna eller saken i det nationella målet eller då frågorna är hypotetiska eller EU-domstolen inte har tillgång till sådana uppgifter om de faktiska eller rättsliga omständigheterna som är nödvändiga för att kunna ge ett användbart svar på de frågor som ställts till den.

23. Dessa villkor är inte uppfyllda i förevarande fall, eftersom det av punkt 40 i beslutet om hänskjutande framgår att utgången av förfarandet är beroende av den första tolkningsfrågan. Den hänskjutande domstolen har förklarat att om artikel 22.1 i dataskyddsförordningen ska tolkas så, att ett kreditupplysningsföretags fastställande av kreditbetyg utgör ett självständigt beslut i den mening som avses i artikel 22.1 i denna förordning, omfattas detta företag, närmare bestämt dess relevanta verksamhet, av förbudet mot att fatta ett automatiserat individuellt beslut. Det skulle följaktligen krävas en rättslig grund på medlemsstatsnivå i den mening som avses i artikel 22.2 b i dataskyddsförordningen, för vilken endast 31 § BDSG kan komma i fråga. Den hänskjutande domstolen har emellertid uttryckt allvarliga tvivel om huruvida denna nationella bestämmelse är förenlig med artikel 22.1 i dataskyddsförordningen. Enligt den hänskjutande domstolen har SCHUFA inte bara agerat utan rättslig grund, utan SCHUFA har även åsidosatt förbudet i den sistnämnda bestämmelsen. Sökanden har följaktligen rätt att kräva att HBDI, i egenskap av tillsynsmyndighet, fortsätter att handlägga ärendet. Det är således uppenbart att ett svar på de frågor som ställts av den hänskjutande domstolen är avgörande för utgången i målet.

24. SCHUFA har även gjort gällande att begäran om förhandsavgörande inte kan tas upp till sakprövning, eftersom sökanden redan har informerats om logiken bakom kreditbetyget. Av beslutet om hänskjutande framgår emellertid att sökanden önskade få så utförlig information som möjligt om alla uppgifter som samlats in och om den metod som använts för att fastställa kreditbetyget. Eftersom SCHUFA i stora drag har informerat om hur dess beräkning av kreditbetyget i princip fungerar, men inte vilken närmare information som legat till grund för beräkningen eller vilken betydelse denna haft, är det uppenbart att SCHUFA inte har efterkommit denna begäran om upplysningar. Sökanden har följaktligen ett berättigat intresse av att genom en begäran om förhandsavgörande få de rättigheter som den registrerade har gentemot ett sådant kreditupplysningsföretag som SCHUFA fastställda.

2. Förekomsten av två parallella rättsmedel

25. Vad beträffar den påstådda risken för att dörren öppnas för ett andra rättsmedel för den registrerade, ska det påpekas att, i motsats till vad SCHUFA har gjort gällande i sitt yttrande, den omständigheten att sökanden först hade väckt talan vid allmän domstol och därefter vid förvaltningsdomstolen inte utgör något hinder för att ta upp begäran om förhandsavgörande till sakprövning. Genom sina två talan använde sökanden de rättsmedel som föreskrivs i artiklarna 78 och 79 i dataskyddsförordningen, genom vilka rätten till ett effektivt rättsmedel mot tillsynsmyndigheten respektive en personuppgiftsansvarig garanteras. I den mån dessa rättsmedel existerar oberoende av varandra, utan att det ena är subsidiärt i förhållande till det andra, kan de tillämpas parallellt. Sökanden kan således inte klandras för någon oegentlighet i försvaret av sina rättigheter som skyddas av dataskyddsförordningen.

26. Det ska vidare erinras om att det enligt EU-domstolens fasta praxis, i avsaknad av unionsbestämmelser på området, ankommer på varje medlemsstat att i sin rättsordning ange vilka domstolar som är behöriga och fastställa de processuella regler som gäller för talan som syftar till att säkerställa skyddet av de rättigheter som enskilda har till följd av unionsrätten. Det finns således inget objektivt skäl att ifrågasätta systemet med rättsmedel i en medlemsstat, utom i fall där unionsrättens effektivitet skulle äventyras, till exempel om de nationella domstolarna berövades sin möjlighet eller befriades från skyldigheten enligt artikel 267 FEUF att hänskjuta frågor om unionsrättens tolkning eller giltighet till EU-domstolen.

27. I förevarande fall finns det inget som tyder på att förekomsten av två rättsmedel som möjliggör ett effektivt rättsmedel inför domstol mot tillsynsmyndigheten respektive den personuppgiftsansvarige, äventyrar unionsrättens effektivitet eller fråntar de nationella domstolarna möjligheten att använda sig av det förfarande som föreskrivs i artikel 267 FEUF. Som jag redan har förklarat är det tvärtom, enligt artiklarna 78 och 79 i dataskyddsförordningen, uppenbart att dataskyddsförordningen inte utgör hinder för ett sådant system för rättsmedel, genom att den snarare överlåter åt medlemsstaten att ange vilka domstolar som är behöriga och att fastställa de processuella regler som gäller för talan, i full överensstämmelse med principen om processuell autonomi. EU-domstolen har erkänt detta i sin senaste praxis.

28. Slutligen ska det noteras att SCHUFA endast har kritiserat de rättsmedel som kan användas enligt tysk rätt, utan att exakt förklara på vilket sätt en dom från EU-domstolen i förevarande mål om förhandsavgörande skulle vara onödig för att avgöra målet. Såsom den hänskjutande domstolen har påpekat skulle en tolkning från EU-domstolen av artikel 22.1 i dataskyddsförordningen göra det möjligt för svaranden att utöva sina kontrollbefogenheter över SCHUFA på ett sätt som är förenligt med unionsrätten. Följaktligen anser jag att det saknas grund för SCHUFA:s argument att begäran om förhandsavgörande inte kan tas upp till sakprövning.

3. Påståendet att begäran om förhandsavgörande saknar motivering

29. Dessa överväganden är i princip tillräckliga för att SCHUFA:s argumentation ska kunna underkännas. För en bättre förståelse av förevarande mål anser jag dock att det är nödvändigt att pröva argumentet att begäran om förhandsavgörande saknar motivering. I motsats till vad SCHUFA har påstått har det i beslutet om hänskjutande på ett tillräckligt detaljerat sätt redogjorts för problematiken i det aktuella målet för att uppfylla kraven i artikel 94 c i domstolens rättegångsregler. Den hänskjutande domstolen har närmare bestämt förklarat att sökanden avser att göra gällande sina rättigheter gentemot SCHUFA. Enligt den hänskjutande domstolen kan artikel 22.1 i dataskyddsförordningen, utom om den tolkas restriktivt, i princip ge sökanden skydd med avseende på automatiserad behandling av sökandens personuppgifter.

30. Den hänskjutande domstolen anser att detta kreditbetyg, med hänsyn till den betydelse som vissa företag tillmäter det kreditbetyg som fastställs av kreditupplysningsföretag för en prognostisk bedömning av en fysisk persons ekonomiska ställning, kan anses utgöra ett självständigt ”beslut” i den mening som avses i den ovannämnda bestämmelsen. En sådan tolkning är nödvändig för att fylla en lucka i lagstiftningen som skulle följa av att den registrerade i annat fall inte skulle kunna erhålla nödvändiga uppgifter enligt artikel 15.1 h i dataskyddsförordningen. Mot bakgrund av denna detaljerade motivering anser jag att SCHUFA:s argumentation inte kan godtas och att begäran om förhandsavgörande ska tas upp till sakprövning.

C. Prövning i sak

1. Den första tolkningsfrågan

a) Det allmänna förbudet i artikel 22.1 i dataskyddsförordningen

31. Artikel 22.1 i dataskyddsförordningen uppvisar ett särdrag i förhållande till andra begränsningar av behandling av uppgifter i förordningen genom att den fastställer en ”rättighet” för den registrerade att inte bli föremål för ett beslut som enbart grundar sig på automatiserad behandling, inklusive profilering. Trots lydelsen kräver tillämpningen av artikel 22.1 i dataskyddsförordningen inte att den registrerade aktivt åberopar rättigheten. En tolkning mot bakgrund av skäl 71 i dataskyddsförordningen och med beaktande av bestämmelsens systematik, särskilt punkt 2 i nämnda artikel där det anges i vilka fall sådan automatiserad behandling undantagsvis är tillåten, ger snarare stöd för slutsatsen att bestämmelsen fastställer ett allmänt förbud mot beslut av det slag som beskrivs ovan. Det bör dock understrykas att detta förbud endast gäller under mycket specifika omständigheter, nämligen specifikt för ”[beslut, vilka] har rättsliga följder för honom eller henne” eller ”på liknande sätt i betydande grad påverkar honom eller henne”.

32. Den hänskjutande domstolen har ställt den första frågan för att få klarhet i huruvida den beräkning av ett kreditbetyg som gjorts av ett kreditupplysningsföretag omfattas av artikel 22.1 i dataskyddsförordningen när det kreditbetyg som fastställts överförs till ett företag som använder sig av detta för att grunda ett beslut om att ingå i, kvarstå i eller avsluta ett avtalsförhållande med den registrerade. Det handlar med andra ord om huruvida denna bestämmelse är tillämplig på kreditupplysningsföretag som ställer kreditbetyg till finansföretagens förfogande. Vid prövningen av denna fråga ska det fastställas huruvida villkoren i artikel 22.1 i dataskyddsförordningen är uppfyllda i förevarande fall.

b) Tillämpligheten av artikel 22.1 i dataskyddsförordningen

1) Förekomsten av "profilering" i den mening som avses i artikel 4.4 i dataskyddsförordningen

33. Enligt denna bestämmelse måste det först och främst föreligga en automatisk behandling av personuppgifter, där ”profilering” betraktas som en underkategori, av ordalydelsen att döma. I detta avseende bör det noteras att sådan scoring som SCHUFA utfört omfattas av legaldefinitionen i artikel 4.4 i dataskyddsförordningen, eftersom man i detta förfarande använder personuppgifter för att bedöma vissa personliga egenskaper hos en fysisk person för att analysera eller förutsäga denna fysiska persons ekonomiska situation, pålitlighet och sannolika beteende. Det framgår nämligen av handlingarna i målet att den metod som SCHUFA använde ger en ”score” (kreditbetyg) på grundval av vissa kriterier, det vill säga ett resultat som gör det möjligt att dra slutsatser om den registrerades betalningsförmåga. Slutligen vill jag understryka att ingen av de berörda parterna har bestritt kvalificeringen av det aktuella förfarandet som ”profilering”, vilket innebär att detta villkor kan anses vara uppfyllt i förevarande fall.

2) Beslutet måste ha ”rättsliga följder” för den registrerade eller ”på liknande sätt i betydande grad [påverka vederbörande]”

34. Enligt artikel 22.1 i dataskyddsförordningen krävs att det aktuella beslutet har ”rättsliga följder” för den registrerade eller ”på liknande sätt i betydande grad påverkar vederbörande]”. I dataskyddsförordningen erkänns således att automatiserat beslutsfattande, inklusive profilering, kan få allvarliga konsekvenser för de registrerade. I dataskyddsförordningen definieras visserligen inte begreppen ”rättsliga följder” eller uttrycket ”på liknande sätt i betydande grad påverkar”, men den formulering som används anger tydligt att endast de följder som har en allvarlig påverkan avses i denna bestämmelse. I detta avseende bör det inledningsvis uppmärksammas att skäl 71 i dataskyddsförordningen uttryckligen nämner ”ett automatiserat avslag på en kreditansökan online” som ett typiskt exempel på ett beslut som påverkar den registrerade ”i betydande grad”.

35. Vidare ska det för det första beaktas att, i den mån handläggningen av en ansökan om kredit utgör en etapp som föregår ingåendet av ett låneavtal, kan ett avslag på en sådan ansökan ha ”rättsliga följder” för den registrerade, eftersom denne inte längre kan dra fördel av ett avtalsförhållande med det aktuella finansinstitutet. Det ska vidare påpekas att en sådan vägran även kan påverka den registrerades ekonomiska situation. Det är således logiskt att dra slutsatsen att denna person i vart fall kommer att påverkas ”på liknande sätt” i den mening som avses i denna bestämmelse. Unionslagstiftaren verkar ha varit medveten om detta när den utarbetade skäl 71, i ljuset av vilket artikel 22.1 i dataskyddsförordningen ska tolkas. Mot bakgrund av den situation som sökanden befinner sig i anser jag följaktligen att villkoren i denna bestämmelse är uppfyllda i förevarande fall, oavsett om tyngdpunkten läggs på de rättsliga eller ekonomiska följderna av vägran att bevilja en kredit.

3) ”Beslutet” ska ”enbart grundas på automatiserad behandling”

36. Ytterligare två villkor måste vara uppfyllda. För det första är det nödvändigt att en akt som har karaktären av ett ”beslut” antas med avseende på den registrerade. För det andra måste beslutet i fråga ”enbart grundas på automatiserad behandling”. Vad gäller det sistnämnda villkoret finns det ingenting i redogörelsen för de faktiska omständigheterna i beslutet om hänskjutande som tyder på att kreditbetyg, förutom det matematiska och statistiska förfarande som SCHUFA tillämpar, på något sätt fastställs genom en individuell utvärdering och bedömning av en människa. Följaktligen måste det anses att fastställandet av kreditbetyg som en handling som utförs av SCHUFA ”enbart grundas på automatiserad behandling”. Det bör dock hållas i åtanke att det finansinstitut, till vilket SCHUFA lämnar ut kreditbetyget, uppmanas att anta en handling som förmodas vara självständig i förhållande till den registrerade, nämligen att bevilja eller vägra kredit. Frågan uppkommer således vilken av dessa två akter som kan kvalificeras som ”beslut” i den mening som avses i artikel 22.1 i dataskyddsförordningen. Denna fråga kommer att prövas nedan.

37. När det gäller det första villkoret är det först nödvändigt att fastställa den rättsliga karaktären av ett ”beslut” och vilken form det ska ha. Etymologiskt sett innebär begreppet en ”åsikt” eller ett ”ställningstagande” om en viss situation. Det måste också ha en ”bindande karaktär” för att skilja det från rena ”rekommendationer” som i princip inte har några rättsliga eller faktiska konsekvenser. I motsats till vad HBDI har hävdat verkar en analogi med artikel 288 fjärde stycket FEUF inte vara relevant i detta sammanhang, särskilt eftersom den inte har någon grund i dataskyddsförordningen.

38. Avsaknaden av en legaldefinition gör det möjligt att dra slutsatsen att unionslagstiftaren har valt ett vitt begrepp som kan omfatta flera akter som kan påverka den registrerade på flera sätt. Som jag redan har påpekat kan nämligen ett ”beslut” i den mening som avses i artikel 22.1 i dataskyddsförordningen antingen ha ”rättsliga följder” eller påverka den registrerade ”på liknande sätt”, vilket innebär att det aktuella ”beslutet” kan ha en inverkan som inte nödvändigtvis är rättslig utan snarare ekonomisk och social. Eftersom artikel 22.1 i dataskyddsförordningen syftar till att skydda fysiska personer mot potentiellt diskriminerande och orättvisa följder av automatiserad behandling av uppgifter, anser jag att särskild vaksamhet är påkallad och att detta också måste återspeglas i tolkningen av denna bestämmelse.

39. Det ska slutligen understrykas att i den mån akter som härrör från ett privat finansinstitut även kan få allvarliga konsekvenser för den registrerades oberoende och handlingsfrihet i en marknadsekonomi, särskilt när det är fråga om att intyga en betalningsförmågan hos en kreditsökande, ser jag inte något objektivt skäl för att begränsa begreppet ”beslut” till det strikt offentliga området, det vill säga till förhållandet mellan staten och medborgaren, vilket underförstått antyds av den analogi som HBDI har föreslagit. Kvalificeringen av ett ”beslut” som ett ställningstagande som antagits med avseende på den registrerade kräver enligt min mening en prövning i det enskilda fallet, med beaktande av de särskilda omständigheterna och med hänsyn till hur allvarliga följderna är på den registrerades rättsliga, ekonomiska och sociala ställning.

40. På grundval av de kriterier som angetts i föregående punkter ska det därefter fastställas vilket ”beslut” som är relevant i förevarande fall. Som nämnts ovan finns, å ena sidan, den handling genom vilken en bank godtar eller vägrar att bevilja en kredit till den sökande och, å andra sidan, det kreditbetyg som fastställts i ett profileringsförfarande som genomförts av SCHUFA. Det är enligt min mening omöjligt att ge ett tydligt svar på denna fråga, eftersom kvalificeringen beror på omständigheterna i varje enskilt fall. Mer konkret är det sätt på vilket beslutsförfarandet strukturerats av väsentlig betydelse. Detta förfarande omfattar vanligtvis flera faser, såsom profilering, skapande av kreditbetyget och själva beslutet om beviljande av kredit i egentlig mening.

41. Det är enligt min mening uppenbart att även om ett finansinstitut kan genomföra detta förfarande finns det inget som hindrar det från att genom avtal delegera vissa uppgifter till ett kreditupplysningsföretag, till exempel profilering och scoring. Enligt artikel 22.1 i dataskyddsförordningen krävs det inte att dessa uppgifter ska utföras av ett eller flera organ. Jag anser emellertid att en eventuell delegering av vissa befogenheter till en extern tjänsteleverantör inte spelar någon avgörande roll i bedömningen, eftersom en sådan delegering i allmänhet styrs av ekonomiska och organisatoriska överväganden som kan variera från fall till fall.

42. Den aspekt som tycks spela en avgörande roll är däremot den som är knuten till frågan huruvida beslutsförfarandet är utformat på ett sådant sätt att ”scoring” som utförs av kreditupplysningsföretaget föregriper finansinstitutets beslut att bevilja eller vägra kredit. Även om scoring skulle utföras utan ingripande av en människa som i förekommande fall skulle kunna kontrollera resultat och riktigheten av det beslut som ska fattas med avseende på kreditsökanden, förefaller det logiskt att anse att scoring som sådan utgör det ”beslut” som avses i artikel 22.1 i dataskyddsförordningen.

43. Att anta motsatsen av den anledningen att beslutet att bevilja eller vägra kredit formellt sett åligger finansinstitutet skulle inte bara vara överdrivet formalistiskt utan skulle knappast göra rättvisa åt de särskilda omständigheterna i ett sådant fall. Detta gäller inte minst eftersom det i artikel 22.1 i dataskyddsförordningen inte på något sätt föreskrivs att ”beslutet” ska ha en särskild form. Den avgörande faktorn är den verkan som ”beslutet” har på registrerade. Eftersom ett negativt kreditbetyg i sig kan få negativa verkningar för den registrerade, det kan nämligen i betydande grad begränsa den registrerade vid utövandet av sina friheter eller till och med stigmatisera den registrerade i samhället, förefaller det motiverat att klassificera det som ett ”beslut” i den mening som avses i ovannämnda bestämmelse när ett finansinstitut fäster avgörande betydelse vid det i beslutsförfarandet. Under sådana omständigheter påverkas kreditsökanden från det skede då kreditupplysningsföretaget bedömer hans eller hennes betalningsförmåga och inte bara i det sista skedet av avslaget på kreditansökan, där finansinstitutet endast använder resultatet av denna bedömning på det specifika fallet.

44. Eftersom det för det första enligt artikel 22.1 i dataskyddsförordningen krävs att det aktuella beslutet ”enbart” grundas på automatiserad behandling och, för det andra, ordalydelsen i en bestämmelse i allmänhet utgör gränsen för varje tolkning, förefaller det nödvändigt att den automatiserade behandlingen är den enda omständighet som motiverar finansinstitutets tillvägagångssätt gentemot den kreditsökande. Detta skulle vara fallet om personer hade medverkat i förfarandet, utan att de dock haft möjlighet att påverka orsakssambandet mellan den automatiserade behandlingen och det slutliga beslutet. Det borde vara kreditupplysningsföretaget som de facto fattar det slutliga beslutet för finansinstitutet. Detta beror på det berörda finansinstitutets interna regler och praxis, som i allmänhet inte bör ge det något utrymme för skönsmässig bedömning när det gäller tillämpningen av kreditbetyget på en kreditansökan.

45. Det rör sig huvudsakligen om en sakfråga som enligt min mening på bästa sätt kan bedömas av de nationella domstolarna. Jag föreslår därför att den hänskjutande domstolen själv ska anförtros uppgiften att fastställa i vilken utsträckning finansinstitutet generellt sett är bundet av scoring som utförs av ett kreditupplysningsföretag som SCHUFA, med beaktande av de kriterier som anges ovan. Jag kommer att grunda mig på den information som finns i beslutet om hänskjutande för att kunna ge ett användbart svar till den nationella domstolen i det aktuella fallet.

46. I detta avseende vill jag först påpeka att även om mänskligt ingripande, enligt den hänskjutande domstolen, i princip fortfarande är möjligt i detta skede av beslutsprocessen, styrs beslutet att ingå ett avtalsförhållande med den registeransvarige ”i praktiken, till så stor grad av det kreditbetyg som överförs av kreditupplysningsföretag att det påverkar den personuppgiftsansvarige tredje mannens beslut.” Den hänskjutande domstolen har anfört att ”avgörande för om, och hur den personuppgiftsansvarige tredje mannen ska ingå ett avtal med den registeransvarige är egentligen det kreditbetyg som fastställts på grundval av en automatiserad behandling av kreditupplysningsföretag.” Den hänskjutande domstolen har även förklarat att om en personuppgiftsansvarig tredje man inte enbart måste utgå från kreditbetyget vid sitt beslut, ”gör [dock] denne i regel detta i stor utsträckning”. Den hänskjutande domstolen har tillagt att ”[ä]ven om kredit kan nekas trots att kreditbetyget i princip är tillräckligt (av andra skäl, såsom till exempel på grund av avsaknaden av säkerheter eller tvivel på om en investering som ska finansieras kommer att vara framgångsrik), leder ett otillräckligt kreditbetyg i vart fall vad gäller konsumentkrediter nästan alltid till att kredit vägras, även om till exempel en investering i övrigt framstår som lönsam.” Denna domstol har vidare anfört att ”[d]en erfarenhet som förvärvats av dataskyddstillsynsmyndigheter vittnar om att kreditbetyg har en avgörande roll vid beviljandet av krediter och utformningen av dess villkor.”

47. De överväganden som framförts ovan förefaller, med förbehåll för den bedömning av de faktiska omständigheterna som det ankommer på varje nationell domstol att göra i varje enskilt fall, enligt min uppfattning visa att det kreditbetyg som ett kreditupplysningsföretag fastställer och lämnar ut till ett finansinstitut i allmänhet tenderar att föregripa finansinstitutets beslut om att bevilja eller vägra den registrerade kredit, vilket innebär att detta ställningstagande inte enbart ska anses vara av rent formell karaktär inom ramen för förfarandet. Av detta följer att själva kreditbetyget ska betraktas som ett ”beslut” i den mening som avses i artikel 22.1 i dataskyddsförordningen.

48. En sådan slutsats förefaller mig rimlig eftersom varje annan tolkning skulle äventyra det mål som unionslagstiftaren eftersträvar med denna bestämmelse, nämligen att skydda de registrerades rättigheter. Såsom den hänskjutande domstolen har anfört skulle en strikt tolkning av artikel 22.1 i dataskyddsförordningen leda till en lucka i rättsskyddet. Det kreditupplysningsföretag från vilket den information som den registrerade begär ska erhållas är inte skyldigt att lämna ut denna enligt artikel 15.1 h i dataskyddsförordningen, eftersom det påstås att det inte självt ägnar sig åt ”automatiserat beslutsfattande” i den mening som avses i den bestämmelsen, och det finansinstitut som fattar sitt beslut på grundval av det kreditbetyg som fastställts automatiskt och som är skyldigt att tillhandahålla den information som krävs enligt artikel 15.1 h i dataskyddsförordningen kan inte tillhandahålla den eftersom det inte förfogar över denna information.

49. Finansinstitutet kan följaktligen inte kontrollera bedömningen av den kreditsökandes betalningsförmåga om beslutet bestrids, såsom krävs enligt artikel 22.3 i dataskyddsförordningen, eller sörja för rättvis, transparent och icke-diskriminerande behandling genom adekvata matematiska eller statistiska förfaranden och adekvata tekniska och organisatoriska åtgärder, såsom krävs enligt skäl 71 sjätte meningen i dataskyddsförordningen. För att undvika en sådan situation som klart strider mot det lagstiftningssyfte som angetts i föregående punkt föreslår jag en tolkning av artikel 22.1 i dataskyddsförordningen som tar hänsyn till den faktiska inverkan av scoring på den registrerades situation.

50. Ett sådant tillvägagångssätt förefaller enligt min mening logiskt eftersom kreditupplysningsföretaget i allmänhet bör vara den enda enhet som kan efterkomma andra begäranden som framställs av den registrerade, som grundar sig på rättigheter som också garanteras i dataskyddsförordningen, nämligen rätten till rättelse enligt artikel 16 i dataskyddsförordningen, om de personuppgifter som används för att utföra scoring skulle visa sig vara felaktiga, samt rätten till radering som avses i artikel 17 i dataskyddsförordningen, om sådana uppgifter har behandlats på olagligt sätt. Eftersom finansinstitutet i allmänhet varken deltar i insamlingen av dessa uppgifter eller i profileringen när uppgifterna delegeras till tredje man, är det rimligt att utesluta möjligheten att finansinstitutet faktiskt kan säkerställa att dessa rättigheter iakttas. Den registrerade ska emellertid inte behöva drabbas av de negativa konsekvenserna av en sådan delegering av uppgifter.

51. Att hålla kreditupplysningsföretaget ansvarigt på grund av fastställandet av kreditbetyg – och inte på grund av den senare användningen – förefaller mig vara det mest effektiva sättet att säkerställa ett skydd för den registrerades grundläggande rättigheter, det vill säga rätten till skydd av personuppgifter som avses i artikel 8 i Europeiska unionens stadga om de grundläggande rättigheterna (nedan kallad stadgan), men även av rätten till respekt för privatlivet, som avses i artikel 7 i stadgan, eftersom denna verksamhet i slutändan utgör ”källan” till all eventuell skada. Med hänsyn till risken för att det kreditbetyg som fastställts av kreditupplysningsföretaget används av ett stort antal finansinstitut, förefaller det rimligt att låta den registrerade göra gällande sina rättigheter direkt gentemot detta.

52. Av de skäl som anges ovan anser jag att villkoren i artikel 22.1 i dataskyddsförordningen är uppfyllda, så att denna bestämmelse är tillämplig under sådana omständigheter som de som föreligger i målet vid den nationella domstolen.

c) Omfattningen av den rätt till information som avses i artikel 15.1 h i dataskyddsförordningen

53. I detta sammanhang kan man inte nog betona vikten av att den personuppgiftsansvarige till fullo uppfyller sina informationsskyldigheter gentemot den registrerade. Enligt artikel 15.1 h i dataskyddsförordningen ska den registrerade inte bara ha rätt att av den personuppgiftsansvarige få bekräftelse på huruvida personuppgifter som rör honom eller henne håller på att behandlas, utan även annan information såsom förekomsten av automatiserat beslutsfattande, inbegripet profilering i den mening som avses i artikel 22 i dataskyddsförordningen, relevant information om den bakomliggande logiken, och den betydelsen och de konsekvenser som denna behandling förväntas få för den registrerade.

54. Eftersom SCHUFA vägrade att lämna ut viss information om beräkningsmetoden till sökanden med motiveringen att den utgör affärshemligheter, förefaller det relevant att klargöra räckvidden av rätten till information enligt artikel 15.1 h i dataskyddsförordningen, särskilt när det gäller skyldigheten att tillhandahålla ”meningsfull information om [den bakomliggande] logiken”. Enligt min mening ska denna bestämmelse tolkas så, att den i princip även omfattar den beräkningsmetod som används av ett kreditupplysningsföretag för att fastställa ett kreditbetyg, förutsatt att det inte finns några skyddsvärda motstridiga intressen. Det ska i detta avseende hänvisas till skäl 63 i dataskyddsförordningen, av vilket det bland annat framgår att ”[rätten att få tillgång till personuppgifter inte] bör … inverka menligt på andras rättigheter eller friheter, t.ex. affärshemligheter eller immateriell äganderätt och särskilt inte på upphovsrätt som skyddar programvaran”.

55. En rad slutsatser kan dras av en tolkning av artikel 15.1 h, jämförd med skälen 58 och 63. För det första är det uppenbart att unionslagstiftaren var fullt medveten om de konflikter som kan uppkomma mellan, å ena sidan, rätten till skydd av personuppgifter, vilken garanteras i artikel 8 i stadgan, och, å andra sidan, rätten till skydd för immateriell egendom enligt artikel 17.2 i stadgan. För det andra står det klart att unionslagstiftaren inte avsåg att offra någon grundläggande rättighet till förmån för någon annan. Tvärtom gör en mer ingående analys av bestämmelserna i dataskyddsförordningen det möjligt att dra slutsatsen att unionslagstiftaren ville säkerställa en rimlig balans mellan rättigheter och ansvar.

56. Unionslagstiftarens uppmaning i skäl 63 i dataskyddsförordningen om att ”[r]esultatet av dessa överväganden … inte [bör] bli att den registrerade förvägras all information” innebär enligt min mening att ett minimum av information i vart fall måste lämnas för att inte äventyra det väsentliga innehållet i rätten till skydd av personuppgifter. Av detta följer att även om skyddet av affärshemligheter eller immateriell äganderätt i princip är ett legitimt skäl för ett kreditupplysningsföretag att vägra avslöja den algoritm som använts för att beräkna den registrerades kreditbetyg, kan det inte på något sätt motivera en absolut vägran att lämna ut information. Detta gäller särskilt när det finns lämpliga kommunikationsmedel som underlättar förståelsen samtidigt som en viss konfidentialitet garanteras.

57. Artikel 12.1 i dataskyddsförordningen, enligt vilken ”[d]en personuppgiftsansvarige ska vidta lämpliga åtgärder för att till den registrerade tillhandahålla all information … [enligt artikel 15] vilken avser behandling i en koncis, klar och tydlig, begriplig och lätt tillgänglig form, med användning av klart och tydligt språk”, förefaller mig vara särskilt relevant i detta sammanhang. Denna bestämmelse stöder det resonemang som redovisas ovan i den mån det därav följer att det verkliga syftet med artikel 15.1 h i dataskyddsförordningen är att säkerställa att den registrerade får information på ett begripligt och lättillgängligt sätt, i enlighet med sina behov. Jag anser att dessa krav redan utesluter en eventuell skyldighet att avslöja algoritmen, med hänsyn till dess komplexitet. Det är nämligen tveksamt om det är lämpligt att lämna ut en synnerligen komplex formel utan att lämna nödvändiga förklaringar. I detta avseende bör uppmärksamhet fästas på skäl 58 i dataskyddsförordningen, av vilket det framgår att det är särskilt viktigt att uppfylla ovanstående krav ”i situationer där den tekniska komplexiteten gör det svårt för den registrerade att veta och förstå om personuppgifter som rör honom eller henne samlas in, vem som gör det och för vilket syfte”.

58. Av ovan angivna skäl anser jag att skyldigheten att lämna ”meningsfull information om [den bakomliggande] logiken” ska förstås så, att den innehåller tillräckligt detaljerade förklaringar om den metod som använts för att beräkna kreditbetyg och skälen till att ett visst resultat har uppnåtts. I allmänhet bör den personuppgiftsansvarige ge den registrerade allmän information, särskilt om de faktorer som beaktats i beslutsprocessen och deras respektive betydelse på aggregerad nivå, vilka också är användbara för den registrerade för att bestrida varje ”beslut” i den mening som avses i artikel 22.1 i dataskyddsförordningen.

d) Svar på den första tolkningsfrågan

59. Mot bakgrund av det ovan anförda anser jag att artikel 22.1 i dataskyddsförordningen ska tolkas på så sätt att ett automatiserat upprättande av ett sannolikhetsvärde om den registrerades förmåga att betala tillbaka en kredit i sig utgör ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne, när detta värde som fastställs med hjälp av personuppgifter avseende den registrerade överförs av den personuppgiftsansvarige till en personuppgiftsansvarig tredje man och denne grundar sitt beslut om att ingå i, kvarstå i eller avsluta ett avtalsförhållande med den registrerade på detta värde.

2. Den andra tolkningsfrågan

60. Även om den andra frågan endast har ställts för det fall den första frågan skulle besvaras nekande, anser jag att den även är relevant om EU-domstolen finner att scoring omfattas av förbudet mot automatiserat beslutsfattande i artikel 22.1 i dataskyddsförordningen. I ett sådant fall skulle det, som den finska regeringen har påpekat, vara nödvändigt att undersöka om ett undantag från detta förbud kan göras enligt artikel 22.2 b i dataskyddsförordningen. Enligt lydelsen i denna bestämmelse ska förbudet inte tillämpas om beslutet ”tillåts enligt unionsrätten eller en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av”.

61. Denna bestämmelse innehåller ett uttryckligt reglerat handlingsutrymme när den automatiserade profileringen grundar sig på unionsrätten eller en medlemsstats nationella rätt. Om den grundar sig på en medlemsstats nationella rätt måste den nationella lagstiftningen föreskriva särskilda garantier för den registrerade. EU-domstolen ska således fastställa huruvida ett sådant ”tillstånd” kan utläsas av artikel 6 i dataskyddsförordningen i sig eller av en nationell bestämmelse som antagits med stöd av en rättslig grund som föreskrivs där. Det sistnämnda fallet påkallar enligt min mening en mer ingående analys, eftersom den hänskjutande domstolen vill få klarhet i huruvida 31 § BDSG är förenlig med artiklarna 6 och 22 i dataskyddsförordningen, vilket kräver att artiklarna 6 och 22 i dataskyddsförordningen kan utgöra adekvata rättsliga grunder.

a) Huruvida det finns en rättslig grund i dataskyddsförordningen som ger medlemsstaterna regleringsbefogenheter

62. Den nationella domstolen har emellertid uttryckt tvivel just i detta avseende, eftersom den anser att ingen av de bestämmelser som avses i artiklarna 6 och 22 i dataskyddsförordningen kan utgöra rättslig grund för antagandet av en sådan nationell bestämmelse som den som avses i 31 § BDSG, som innehåller vissa bestämmelser om scoring. Således uppkommer frågan huruvida den nationella lagstiftaren har tillämpat de bestämmelser i dataskyddsförordningen som ger den ett handlingsutrymme för att fastställa nationella bestämmelser om behandling av personuppgifter med stöd av dataskyddsförordningen eller till och med, under vissa omständigheter, avvika från dessa bestämmelser, korrekt. Svaret på denna fråga är komplicerat, eftersom den tyska lagstiftaren inte åsyftar någon öppnandeklausul i motiveringen till lagen. Det är emellertid desto mer relevant, eftersom det i 31 § första stycket punkt 1 BDSG uttryckligen anges att scoring ”endast är tillåten när bestämmelserna om rätten till skydd av personuppgifter har iakttagits” (min kursivering). Som jag kommer att redogöra för nedan, finns det flera argument som föranleder mig att besvara denna fråga nekande.

1) Tillämpligheten av artikel 22.2 b i dataskyddsförordningen

63. Inledningsvis ska bestämmelsen i artikel 22.2 b i dataskyddsförordningen nämnas, vilken ger medlemsstaterna befogenhet att tillåta ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, och som därför kan åberopas som rättslig grund. Det ska emellertid påpekas att artikel 22.2 i dataskyddsförordningen inte är tillämplig för det fall EU-domstolen finner att scoring inte omfattas av förbudet i punkt 1 i nämnda artikel 22. Såsom klart framgår av ordalydelsen och den allmänna systematiken i artikel 22 i dataskyddsförordningen förutsätter tillämpningen av punkt 2 att villkoren i punkt 1 är uppfyllda. Det är därför uppenbart att artikel 22.2 b i dataskyddsförordningen inte ska tillämpas om den första frågan ska besvaras nekande.

64. För fullständighetens skull och med beaktande av det jakande svar som jag föreslår på den första frågan, anser jag att det är nödvändigt att undersöka om denna bestämmelse kan tillämpas för det fall EU-domstolen i sin tur skulle finna att scoring som ett kreditupplysningsföretag utför utgör ett ”beslut” i den mening som avses i punkt 1 i nämnda artikel 22. Även i detta fall kvarstår dock tvivel om huruvida artikel 22.2 b i dataskyddsförordningen är lämplig som rättslig grund, av flera skäl.

65. För det första ska det erinras om att artikel 22 i dataskyddsförordningen endast avser beslut som ”enbart” grundas på automatiserad behandling av uppgifter, medan 31§ BDSG, enligt den hänskjutande domstolen, utan urskiljning, innehåller bestämmelser som även är tillämpliga på beslut som inte är automatiserade, samtidigt som den reglerar huruvida det är tillåtet att använda behandling av uppgifter för att fastställa kreditbetyg. Med andra ord har 31 § BDSG ett mycket större materiellt tillämpningsområde än artikel 22 i dataskyddsförordningen. Det är därför tveksamt om artikel 22.2 b i dataskyddsförordningen kan tjäna som rättslig grund.

66. För det andra ska det noteras att 31 § BDSG, såsom den hänskjutande domstolen har påpekat, reglerar ekonomiska aktörers ”användning” av ett sannolikhetsvärde, men inte ”upprättandet” av detta värde av kreditupplysningsföretag, vilket är en aspekt som ändå är föremål för den första tolkningsfrågan. Denna slutsats kan även dras från de uttalanden som den tyska regeringen gjorde vid förhandlingen. Som jag i detalj har förklarat i samband med prövningen av denna fråga är artikel 22.1 i dataskyddsförordningen tillämplig även vid ”fastställandet” av kreditbetyg och inte bara i det skede då ett finansinstitut använder det, under förutsättning att vissa villkor är uppfyllda. Med andra ord förefaller 31 § BDSG syfta till att reglera en annan situation än den som omfattas av det materiella tillämpningsområdet för artikel 22 i dataskyddsförordningen, vilket det ankommer på den hänskjutande domstolen att bekräfta. Mot bakgrund av det ovan anförda anser jag att artikel 22.2 b i dataskyddsförordningen inte kan användas som rättslig grund för att anta en sådan nationell lagstiftningsåtgärd som den som avses i 31 § BDSG.

2) Tillämpligheten av artikel 6.2 och 6.3 i dataskyddsförordningen

i) Bestämmelser som ger medlemsstaterna regleringsbefogenheter

67. Enligt artikel 6.1 i dataskyddsförordningen är behandlingen av personuppgifter endast laglig om villkoret avseende en av de grunder som anges i artikeln är uppfyllt. Såsom EU-domstolen redan har slagit fast rör det sig om en uttömmande uppräkning av de situationer när en sådan behandling kan anses vara tillåten. För att den ska anses vara legitim måste fastställandet av ett kreditbetyg av ett kreditupplysningsföretag omfattas av något av de fall som avses i denna bestämmelse.

68. I ett fall som det som är aktuellt i målet vid den nationella domstolen skulle artikel 6.1 b, c och f i dataskyddsförordningen i princip kunna vara tillämplig. Enligt artikel 6.2 i dataskyddsförordningen får medlemsstaterna behålla eller införa mer specifika bestämmelser för att anpassa tillämpningen av bestämmelserna i dataskyddsförordningen. Det ska emellertid preciseras att denna bestämmelse endast är tillämplig för att efterleva punkt 1 c och e. På samma sätt anges i artikel 6.3 i dataskyddsförordningen att grunden för behandling ska fastställas i enlighet med en medlemsstats nationella rätt som den personuppgiftsansvarige omfattas av, i den mån behandlingen avser de fall som avses i punkt 1 c och e.

69. Av detta följer att medlemsstaterna får anta mer specifika regler när behandlingen är ”nödvändig för att fullgöra en rättslig förpliktelse som åvilar den personuppgiftsansvarige” eller ”[b]ehandlingen är nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning”. Dessa villkor medför en strikt reglering av medlemsstaternas normgivningsbefogenheter, vilket innebär att det inte är möjligt att godtyckligt använda sig av öppnandeklausuler i dataskyddsförordningen, vilket skulle kunna motverka syftet att harmonisera lagstiftningen om skydd av personuppgifter.

70. Det ska dessutom i detta sammanhang påpekas att i den mån vissa av dessa klausuler använder en terminologi som är specifik för dataskyddsförordningen, utan att det görs någon uttrycklig hänvisning till medlemsstaternas nationella rätt, ska de använda termerna ges en självständig och enhetlig tolkning. Det är mot denna bakgrund som det i det följande ska prövas huruvida bestämmelsen i 31 § BDSG omfattas av någon av de grunder som anges i artikel 6.1 i dataskyddsförordningen.

ii) Huruvida behandling av personuppgifter är laglig

– Den grund som avses i artikel 6.1 b i dataskyddsförordningen

71. När det gäller punkt b framgår det av denna bestämmelse att behandlingen endast är laglig om och i den mån behandlingen är nödvändig för att ”fullgöra ett avtal i vilket den registrerade är part” eller för att ”vidta åtgärder på begäran av den registrerade innan ett sådant avtal ingås.” Det ska i detta hänseende påpekas att de tjänster som tillhandahålls av kreditupplysningsföretaget endast används i undantagsfall vid fullgörandet av ett avtal. Det viktigaste skedet är skedet innan avtal ingås, under vilket information om betalningsförmåga i allmänhet erhålls. Överföringen av en begäran om upplysningar till ett kreditupplysningsföretag för en kontroll av betalningsförmågan förefaller mig vara tillåten på grundval av denna bestämmelse. Det bör dock noteras att denna bestämmelse endast omfattar tillstånd att undersöka betalningsförmågan av potentiella avtalspartner, kreditgivare och/eller aktörer som tillhandahåller juridiska tjänster och att den således skapar förutsättningar för laglig insamling av uppgifter av kreditupplysningsföretag. Denna bestämmelse är däremot enligt min mening inte i sig tillräcklig för att utgöra rättslig grund för att legitimera ett kreditupplysningsföretags verksamhet i allmänhet.

72. Det ska dessutom erinras om att även om det i artikel 6.1 b i dataskyddsförordningen kodifieras en grund för laglig behandling av personuppgifter, avser den inte något av de fall som föreskrivs i punkterna 2 och 3, enligt vilka medlemsstaterna har regleringsbefogenheter. Av detta följer att i den mån artikel 6 i dataskyddsförordningen innehåller en uttömmande förteckning över sådana fall, kan en nationell bestämmelse som den som avses i 31 § BDSG inte antas enbart på grundval av artikel 6.1 b i dataskyddsförordningen.

– Den grund som avses i artikel 6.1 c i dataskyddsförordningen.

73. Den grund som avses i artikel 6.1 c i dataskyddsförordningen avser behandling som grundar sig på en ”rättslig förpliktelse” som åligger den personuppgiftsansvarige. Detta inbegriper krav som ställs av staten själv. Denna bestämmelse omfattar dock inte förpliktelser som följer av civilrättsliga avtal, till exempel ett avtal mellan ett finansinstitut och ett kreditupplysningsföretag. De finansinstitut som ska försäkra sig om kundernas betalningsförmåga i enlighet med de förpliktelser som åligger dem enligt nationell rätt kan emellertid stödja sig på denna rättsliga grund för att begära motsvarande upplysningar för att från ett kreditupplysningsföretags synpunkt säkerställa att sådana begäranden är helt lagliga. Däremot kan inte ett kreditupplysningsföretags ”fastställande” av ett kreditbetyg betraktas som en åtgärd som vidtagits i samband med fullgörandet av en ”rättslig förpliktelse” som ålagts företaget, eftersom någon sådan förpliktelse inte tycks finnas i nationell rätt. Punkt c kan följaktligen inte med framgång åberopas som rättslig grund för att scoring ska kunna bli en laglig behandling.

– Den grund som avses i artikel 6.1 e i dataskyddsförordningen

74. Frågan är vidare huruvida artikel 6.1 e i dataskyddsförordningen kan åberopas som rättslig grund för antagandet av 31 § BDSG. Så skulle vara fallet om behandlingen var ”nödvändig för att utföra en uppgift av allmänt intresse eller som ett led i den personuppgiftsansvariges myndighetsutövning.” Det kan, såsom framgår av lagstiftningssyftet med artikel 31 § BDSG, som återspeglas i titeln på den nationella bestämmelsen (”Skydd av affärsverksamhet i samband med ’scoring’ och kreditupplysningar”) och av förarbetena, hävdas att kreditupplysningsföretag bidrar till att ett lands ekonomi fungerar väl.

75. I den mån dessa företag tillhandahåller information om vissa personers betalningsförmåga bidrar de till att skydda konsumenterna genom att förebygga risken för överskuldsättning, men även de företag som säljer varor till dem eller beviljar dem krediter. Företagen säkerställer stabiliteten i det finansiella systemet genom att förhindra oansvarig utlåning till låntagare med hög risk för betalningsinställelse. Utan ett tillförlitligt kreditvärderingssystem skulle en stor del av befolkningen praktiskt taget inte kunna få lån på grund av de oförutsebara riskerna, de ekonomiska transaktionerna i informationsåldern skulle bli betydligt svårare och försök till bedrägerier skulle aldrig upptäckas. Ur denna synvinkel är det möjligt att instämma i de skäl som uppenbarligen har föranlett den tyska lagstiftaren att anta 31 § BDSG.

76. Även om det är känt att privaträttsliga juridiska personer kan agera i det allmännas intresse, verkar det i övrigt klart för mig att inte vilket ”berättigat intresse” som helst kan motivera en tillämpning av artikel 6.1 e i dataskyddsförordningen. Förhållandet till ”myndighetsutövning” och skälen 45, 55 och 56 i dataskyddsförordningen tyder snarare på att den bestämmelsen för det första avser juridiska personer i strikt bemärkelse, liksom juridiska personer som tilldelats vissa offentliga befogenheter, och för det andra avser privaträttsliga juridiska personer som utför en behandling för offentliga ändamål, till exempel inom området ”folkhälsa”, ”socialt skydd” och ”förvaltning av hälso- och sjukvårdstjänster”, som uttryckligen nämns i skäl 45. Med andra ord handlar denna bestämmelse om statens klassiska uppgifter.

77. På samma sätt bör det noteras att det i skälen 55 och 56 i dataskyddsförordningen hänvisas till ”officiellt erkända religiösa sammanslutningar” samt till ”politiska partier”, det vill säga till organisationer som enligt unionslagstiftarens kriterier bedriver verksamhet i det allmännas intresse och behandlar personuppgifter i detta syfte. Mot bakgrund av detta är det tveksamt om denna bestämmelse även kan omfatta kreditupplysningsföretags verksamhet, inklusive scoring. En sådan tolkning skulle avsevärt utvidga bestämmelsens tillämpningsområde och göra det särskilt svårt att fastställa gränserna för denna öppnandeklausul.

78. Utöver vad som anförts ovan ska det i detta sammanhang påpekas att även om 31 § BDSG syftar till att skydda ekonomiska transaktioner, nämns inte i denna bestämmelse någon konkret uppgift för dessa företag. Som jag redan har påpekat i detta förslag till avgörande, med stöd i den hänskjutande domstolens preciseringar vad gäller tillämplig nationell rätt, avser denna bestämmelse de ekonomiska aktörernas ”användning” av kreditbetyg, inte ”fastställandet” av dessa av kreditupplysningsföretag. Det är emellertid lagenligheten av denna verksamhet som ligger till grund för tvisten i målet vid den nationella domstolen. Av de skäl som anges ovan anser jag att artikel 6.1 e i dataskyddsförordningen inte kan tjäna som rättslig grund.

– Den grund som avses i artikel 6.1 f i dataskyddsförordningen

79. Det ska i det följande prövas huruvida denna verksamhet omfattas av tillämpningsområdet för artikel 6.1 f i dataskyddsförordningen. Enligt EU-domstolens fasta praxis föreskrivs i bestämmelsen i fråga tre kumulativa villkor för att en behandling av personuppgifter ska vara tillåten, nämligen för det första att det ska föreligga ett berättigat intresse hos den personuppgiftsansvarige eller hos den tredje part eller de tredje parter som uppgifterna lämnas ut till, för det andra att behandlingen av personuppgifter ska vara nödvändig för det berättigade intresse som eftersträvas och för det tredje att den registrerades grundläggande fri- och rättigheter inte väger tyngre.

80. När det först och främst gäller att eftersträva ett ”berättigat intresse”, finns det en lång rad intressen som enligt dataskyddsförordningen och rättspraxis ska betraktas som berättigade. Samtidigt ankommer det enligt artikel 13.1 d i dataskyddsförordningen på personuppgiftsansvarig att ange vilka berättigade intressen som eftersträvas inom ramen för artikel 6.1 f i dataskyddsförordningen. Såsom jag redan har anfört i detta förslag till avgörande är lagstiftningssyftet med 31 § BDSG att säkerställa lagenligheten av den verksamhet som bedrivs av kreditupplysningsföretag, eftersom de, enligt den tyska lagstiftaren, bidrar till att ett lands ekonomi fungerar väl. I den mån dessa verksamheter garanterar skyddet för de olika ekonomiska aktörerna mot de risker som är specifika för insolvens, med allvarliga konsekvenser för stabiliteten i det finansiella systemet, kan det i detta skede av analysen konstateras att ovannämnda nationella bestämmelse har ett ekonomiskt mål som kan utgöra ett ”berättigat intresse” i den mening som avses i artikel 6.1 f i dataskyddsförordningen.

81. Vad därefter gäller villkoret att behandlingen av personuppgifter ska vara nödvändig för att uppnå det berättigade intresset, ska undantag från och inskränkningar av principen om skydd av personuppgifter enligt domstolens praxis inskränkas till vad som är strängt nödvändigt. Det krävs således att det finns en nära koppling mellan behandlingen och det intresse som eftersträvas och att det saknas alternativ som i större utsträckning iakttar skyddet av personuppgifter, eftersom det inte är tillräckligt att behandlingen helt enkelt är till nytta för personuppgiftsansvarig. Det ska i detta hänseende noteras att även om den hänskjutande domstolen hyser vissa tvivel om huruvida scoring är en lagenlig verksamhet mot bakgrund av bestämmelserna i dataskyddsförordningen, har den inte lämnat några uppgifter som tyder på att det eventuellt finns alternativa åtgärder som i större utsträckning iakttar skyddet av personuppgifter. I avsaknad av uppgifter som tyder på motsatsen är jag benägen att medge att det finns ett visst handlingsutrymme vad gäller valet av lämpliga åtgärder för att uppnå det önskade målet.

82. När det slutligen gäller avvägningen mellan den personuppgiftsansvariges intressen, å ena sidan, och den registrerades intressen eller grundläggande rättigheter och friheter, å andra sidan, bör det noteras att avvägningen av de olika intressen som står på spel i det aktuella fallet har gjorts genom lag. Genom att anta 31 § BDSG har den tyska lagstiftaren gett de ekonomiska intressena företräde framför rätten till skydd av personuppgifter. Ett sådant tillvägagångssätt skulle dock endast vara möjligt om artikel 6.1 f i dataskyddsförordningen innehöll en bestämmelse som möjliggjorde för medlemsstaterna att behålla eller införa mer specifika bestämmelser för att anpassa bestämmelserna i dataskyddsförordningen vad gäller behandling. Så är emellertid inte fallet här, som jag kommer att förklara nedan.

83. Såsom framgår tydligt av ordalydelsen i artikel 6.2 och 6.3 i dataskyddsförordningen är det endast tillåtet att behålla eller införa mer specifika bestämmelser i de fall som avses i punkt 1 c och e. Av den föregående bedömningen framgår att det i 31 § BDSG inte hänvisas till några omständigheter som kan omfattas av dessa fall, vilket logiskt utesluter att artikel 6.2 och 6.3 i dataskyddsförordningen kan åberopas som rättslig grund. En tillämpning i det fall som avses i punkt 1 f skulle inte bara strida mot ordalydelsen i dessa bestämmelser, utan även åsidosätta unionslagstiftarens avsikt, såsom den följer av bakgrunden till dessa bestämmelser.

84. Det ska i detta hänseende erinras om att det enligt artikel 5 i direktiv 95/46/EG – den rättsakt som föregick dataskyddsförordningen – ankom på medlemsstaterna att ”precisera på vilka villkor behandling av personuppgifter [var] tillåten.” EU-domstolen har tolkat denna bestämmelse så, att det inte fanns något som hindrade att medlemsstaterna, vid utövandet av sitt utrymme för skönsmässig bedömning enligt artikel 5 i direktiv 95/46, fastställde ”vägledande principer” för den nödvändiga avvägningen enligt artikel 7 f i detta direktiv, vilken motsvarar artikel 6.1 f i dataskyddsförordningen. Det ska emellertid påpekas att dataskyddsförordningen inte längre ger medlemsstaterna en sådan befogenhet. Avsaknaden av en motsvarande bestämmelse i dataskyddsförordningen innebär att medlemsstaterna inte längre kan fastställa vägledande principer i sin nationella lagstiftning för att specificera ”berättigat intresse” i den mening som avses i artikel 6.1 f i dataskyddsförordningen.

85. Hänvisningen till ”Bestämmelser om särskilda behandlingssituationer” i kapitel IX i punkterna 2 och 3 får inte till följd att tillämpningsområdet för artikel 6 i dataskyddsförordningen utvidgas. Det rör sig snarare om en hänvisning till bestämmelser som tillåter medlemsstaterna att anta mer specifika bestämmelser inom avgränsade områden, nämligen när behandlingen är nödvändig för att fullgöra en ”rättslig förpliktelse”, i den mening som avses i punkt 1 c, eller för att utföra en ”uppgift av allmänt intresse” eller som ett led i ”myndighetsutövning” i det fall som avses i punkt 1 e. Som jag redan har påpekat har dessa områden emellertid inget samband med de omständigheter under vilka 31 § BDSG är tillämplig.

86. Det ska i detta sammanhang även erinras om att även om kommissionens förslag till förordning gav kommissionen befogenhet att ”anta delegerade akter för att närmare klargöra villkoren i artikel 6.1 f för olika sektorer och situationer i fråga om behandling av uppgifter, inbegripet behandling av personuppgifter om ett barn”, har unionslagstiftaren inte antagit detta förslag. Av en analys av hur texten har utvecklats framgår att medlemsstaternas lagstiftningsbefogenheter har minskats med sikte på en närmare harmonisering för att säkerställa en konsekvent och enhetlig tillämpning av reglerna om skydd av personuppgifter, vilket också bekräftas i skälen 3, 9 och 10 i dataskyddsförordningen. Detta bör beaktas vid tolkningen av artikel 6 i dataskyddsförordningen.

87. Slutligen är det enligt min mening nödvändigt att påpeka att även om artikel 6.1 f i dataskyddsförordningen var tillämplig, kan en sådan nationell bestämmelse som 31 § BDSG inte anses vara förenlig med unionsrätten. Jag vill erinra om att EU-domstolen har tolkat artikel 7 f i direktiv 95/46 på så sätt att ”en medlemsstat inte kan anses ha rätt att, vad beträffar dessa typer av personuppgifter, slutgiltigt ange vad resultatet av avvägningen mellan de motstående rättigheterna och intressena blir utan att tillåta ett annat resultat med hänsyn till de särskilda omständigheterna i det enskilda fallet”. Eftersom innehållet i denna bestämmelse nästan är identiskt med det i den bestämmelse som ersatte den, det vill säga artikel 6.1 f i dataskyddsförordningen, förefaller denna tolkning fortfarande vara giltig. Såsom den hänskjutande domstolen har framfört förefaller den nationella lagstiftaren ha haft just detta syfte, eftersom den finansiella sektorns ekonomiska intressen, med hänsyn till att 31 § BDSG medger användning av kreditbetyg inom finanssektorn, ges företräde framför rätten till skydd av personuppgifter, utan att hänsyn tas till de särskilda omständigheterna i det konkreta fallet. Ett sådant tillvägagångssätt skulle innebära en oacceptabel utvidgning av tillämpningsområdet för artikel 6 i dataskyddsförordningen.

88. Mot bakgrund av det ovan anförda anser jag att artikel 6.1 f i dataskyddsförordningen inte med framgång kan åberopas som rättslig grund i syfte att anta en sådan nationell bestämmelse som 31 § BDSG.

– Den grund som avses i artikel 6.4 jämförd med artikel 23.1 i dataskyddsförordningen.

89. Den hänskjutande domstolen har konstaterat att artikel 6.4 jämförd med artikel 23.1 i dataskyddsförordningen åberopades som rättsliga grunder i det lagstiftningsförfarande som ledde till antagandet av 31 § BDSG. Tanken att grunda sig på dessa bestämmelser övergavs emellertid senare. Den hänskjutande domstolen anser att dessa bestämmelser inte är tillämpliga i det aktuella fallet.

90. I avsaknad av mer detaljerad information är det inte möjligt att ta ställning till om de ovannämnda bestämmelserna är tillämpliga. Detta är enligt min mening inte heller nödvändigt om nämnda bestämmelser inte har spelat någon roll under lagstiftningsförfarandet, såsom den hänskjutande domstolen har hävdat.

iii) Slutsats i denna del

91. Jag har i föregående punkter prövat frågan huruvida artiklarna 6 och 22 i dataskyddsförordningen kan utgöra rättslig grund för att anta en nationell bestämmelse, såsom 31 § BDSG, för att motivera lagligheten av fastställandet av kreditbetyg inom ramen för verksamhet som bedrivs av kreditupplysningsföretag. Det finns ett antal skäl, som beskrivs i detalj i min analys, till varför jag är övertygad om att denna möjlighet måste uteslutas. Sammanfattningsvis anser jag att i avsaknad av öppnandeklausuler eller undantag som gör det möjligt för medlemsstaterna att anta mer detaljerade bestämmelser eller att avvika från bestämmelserna i dataskyddsförordningen för att reglera den ovannämnda verksamheten, och med hänsyn till den grad av harmonisering som eftersträvas genom denna förordning, som i enlighet med artikel 288 FEUF, till alla delar är bindande och direkt tillämplig i alla medlemsstater, kan en sådan nationell bestämmelse inte anses vara förenlig med dataskyddsförordningen.

92. Eftersom EU-domstolen inte är behörig att tolka nationell rätt eller att uttala sig om dess förenlighet med unionsrätten i ett förhandsavgörande enligt artikel 267 FEUF, ska de argument som framförs i detta förslag till avgörande förstås som en anvisning om tolkningen av de relevanta bestämmelserna i dataskyddsförordningen, för att i förekommande fall möjliggöra för den hänskjutande domstolen att utöva denna behörighet efter att själv ha prövat 31 § BDSG mot bakgrund av bestämmelserna i dataskyddsförordningen, särskilt vad gäller möjligheten att tolka den nationella lagstiftningen i enlighet med unionsrättens krav.

93. Enligt principen om unionsrättens företräde har unionsrätten företräde framför respektive medlemsstats nationella rätt. Denna princip medför således en skyldighet för alla myndigheter i medlemsstaterna att säkerställa unionsbestämmelsernas fulla verkan, och medlemsstaternas lagstiftning kan inte påverka verkan av unionsbestämmelserna inom medlemsstaterna. Av denna princip följer att för det fall det inte är möjligt att tolka nationell rätt i enlighet med kraven i unionsrätten, är den nationella domstol som inom ramen för sin behörighet ska tillämpa unionsbestämmelser skyldig att säkerställa att dessa bestämmelser ges full verkan genom att, med stöd av sin egen behörighet, vid behov, underlåta att tillämpa nationell lagstiftning som strider mot unionsbestämmelserna, även senare sådan, utan att vare sig begära eller avvakta ett föregående upphävande av denna genom ett lagstiftningsförfarande eller annat konstitutionellt förfarande.

b) Svaret på den andra tolkningsfrågan

94. Som svar på den andra frågan om förhandsavgörande anser jag att artiklarna 6.1 och 22 i dataskyddsförordningen ska tolkas på så sätt att de inte utgör hinder för nationell lagstiftning om profilering när det är fråga om annan profilering än den som föreskrivs i artikel 22.1 i den förordningen. I detta fall måste dock den nationella lagstiftningen uppfylla villkoren i artikel 6 i den förordningen. Den måste framför allt basera sig på en lämplig rättslig grund, vilket det åligger den hänskjutande domstolen att kontrollera.

VI. Förslag till avgörande

95. Mot bakgrund av det ovan anförda föreslår jag att EU-domstolen ska besvara tolkningsfrågorna från Verwaltungsgericht Wiesbaden (Förvaltningsdomstolen i Wiesbaden, Tyskland) på följande sätt: 1) Artikel 22.1 i Europaparlamentets och rådets förordning (EU) 2016/679 av den 27 april 2016 om skydd för fysiska personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter och om upphävande av direktiv 95/46/EG (allmän dataskyddsförordning) ska tolkas på så sätt att ett automatiserat upprättande av ett sannolikhetsvärde om den registrerades förmåga att betala tillbaka en kredit i sig utgör ett beslut som enbart grundas på automatiserad behandling, inbegripet profilering, vilket har rättsliga följder för honom eller henne eller på liknande sätt i betydande grad påverkar honom eller henne, när detta värde som fastställs med hjälp av personuppgifter avseende den registrerade överförs av den personuppgiftsansvarige till en personuppgiftsansvarig tredje man och denne grundar sitt beslut om att ingå i, kvarstå i eller avsluta ett avtalsförhållande med den registrerade på detta värde. 2) Artiklarna 6.1 och 22 i förordning (EU) 2016/679 ska tolkas på så sätt att de inte utgör hinder för nationell lagstiftning om profilering när det är fråga om annan profilering än den som föreskrivs i artikel 22.1 i den förordningen. I detta fall måste dock den nationella lagstiftningen uppfylla villkoren i artikel 6 i den förordningen. Den måste framför allt basera sig på en lämplig rättslig grund, vilket det åligger den hänskjutande domstolen att kontrollera.

1 Originalspråk: franska.

2 EUT L 119, 2016, s. 1.

3 BGBl. 2017 I, s. 2097.

4 BGBl. 2019 I, s. 1626.

5 Det rör sig konkret om artiklarna 18 och 21 i Europaparlamentets och rådets direktiv 2014/17/EU av den 4 februari 2014 om konsumentkreditavtal som avser bostadsfastighet och om ändring av direktiven 2008/48/EG och 2013/36/EU och förordning (EU) nr 1093/2010 (EUT L 60, 2014, s. 34) samt artiklarna 8 och 9 i Europaparlamentets och rådets direktiv 2008/48/EG av den 23 april 2008 om konsumentkreditavtal och om upphävande av rådets direktiv 87/102/EEG (EUT L 133, 2008, s. 66).

6 Det framgår av de ”Riktlinjer om automatiserat individuellt beslutsfattande och profilering enligt förordning (EU) 2016/679”, som antogs den 3 oktober 2017 av arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter (artikel 29-gruppen) att profilering och automatiskt beslutsfattande kan ge upphov till betydande risker för enskildas rättigheter och friheter. Profilering kan i synnerhet upprätthålla befintliga stereotyper och social segregation. Eftersom de registrerade kan begränsas i sin valfrihet när det gäller vissa produkter eller tjänster kan profilering dessutom leda till att varor och tjänster nekas och till obefogad diskriminering.

7 Se dom av den 28 april 2022, Meta Platforms Ireland ( C-319/20, EU:C:2022:322, punkterna 57 och 60).

8 Se dom av den 28 oktober 2020, Pegaso och Sistemi di Sicurezza ( C-521/18, EU:C:2020:867, punkterna 26 och 27).

9 Se förslag till avgörande av generaladvokaten Richard de la Tour i målet Nemzeti Adatvédelmi és Információszabadság Hatóság ( C-132/21, EU:C:2022:661, punkt 43 och följande punkter).

10 Se dom av den 22 juni 2010, Melki och Abdeli ( C-188/10 och C-189/10, EU:C:2010:363, punkt 45).

11 Se dom av den 12 januari 2023, Nemzeti Adatvédelmi és Információszabadság Hatóság ( C-132/21, EU:C:2023:2, punkt 57).

12 Se de spanska (”tratamiento automatizado, incluida la elaboración de perfiles”), danska (”automatisk behandling, herunder profilering”), tyska (”einer automatisierten Verarbeitung – einschließlich Profiling –”), estniska (”automatiseeritud töötlusel, sealhulgas profiilianalüüsil”), engelska (”automated processing, including profiling”), franska (”un traitement automatisé, y compris le profilage”) och polska (”zautomatyzowanym przetwarzaniu, w tym profilowaniu”) versionerna (min kursivering).

13 Se, för ett liknande resonemang, Bygrave, L.A., ”Article 22. Automated individual decision-making, including profiling”, The EU General Data Protection Regulation (GDPR), Kuner, C., Bygrave, L. A. Docksey, C., (utgivare), Oxford 2020, s. 532.

14 Abel, R., ”Automatisierte Entscheidungen im Einzelfall gem. Art. 22 DS-GVO – Anwedungsbereich und Grenzen im nicht-öffentlichen Bereich”, Zeitschrift für Datenschutz, 7/2018, s. 307, anser att denna bestämmelse avser ”beslut” som påverkar den registrerades rättsliga ställning eller varaktigt stör den registrerades ekonomiska eller personliga utveckling.

15 Helfrich, M./Sydow.G., DS-GVO/BDSG, andra upplagan, Baden-Baden 2018, artikel 22, punkt 51, anser att det avgörande är att fastställa huruvida den registrerade påverkas vid utövandet av sina rättigheter och friheter av exempelvis följderna av en observation och en värdering, vilka kan påverka honom eller henne på ett icke försumbart sätt vid utvecklingen av hans eller hennes personlighet.

16 Bernhardt, U./Ruhrman, I./Schuler, K./Weichert, T., ”Evaluation der Europäischen Datentschutz-Grundverordnung”, version av den 18 juli 2019, Netzwerk Datenschutzexpertise, s. 7, anser att de algoritmer som används vid profilering har en stor potential för diskriminering och kan orsaka skada, varför författarna anser att det bör klargöras att alla former av omfattande och komplex profilering avses med det förbud som nämns i artikel 22.1 i dataskyddsförordningen.

17 Se, för ett liknande resonemang, Sydow, G./Marsch, N., DS-GVO/BDSG, 3:e upplagan, Baden-Baden 2022, 31 § BDSG, punkt 5, som anser att scoring kan påverka de registrerade i betydande grad och på ett sätt som liknar ett beslut som ger rättsliga följder.

18 Se de spanska (”únicamente”), danska (”alene”), tyska (”ausschließlich”), estniska (”üksnes”), engelska (”solely”), franska (exclusivement) och polska (”wyłącznie”) versionerna.

19 Ett sådant synsätt är enligt min mening än mer nödvändigt, eftersom varken SCHUFA eller HBDI har kunnat ge ett tydligt svar vid förhandlingen på frågan om kreditbetygen tenderar att föregripa finansinstitutens beslut. Företrädaren för SCHUFA uppgav dock att sistnämnda drar nytta av kreditföretagens erfarenhet och kompetens att fastställa en fysisk persons betalningsförmåga, vilket i princip skulle kunna tolkas som en indikation på ett betydande inflytande på beslutsprocessen.

20 Blasek, K., ”Auskunfteiwesen und Kredit-Scoring in unruhigem Fahrwasser – Ein Spagat zwischen Individualschutz und Rechtssicherheit”, Zeitschrift für Datenschutz, 8/2022, s. 436 och s. 438, anser att en tillämpning av artikel 22.1 i dataskyddsförordningen inte kan uteslutas i de fall då en bankanställd inte ifrågasätter de automatiserade bedömningar (profilering, kreditbetyg) som gjorts av kreditupplysningsföretag. Enligt författaren borde bankerna inte enbart förlita sig på denna externa information, utan snarare själva kontrollera den på ett lämpligt sätt.

21 Se, för ett liknande resonemang, Horstmann, J./Dalmer, S., ”Automatisierte Kreditwürdigkeitsprüfung – Externes Kreditscoring im Lichte des Verbots automatisierter Einzelfallentscheidungen”, Zeitschrift für Datenschutz, 5/2022, s. 263.

22 Min kursivering.

23 Min kursivering.

24 Se, Zanfir-Fortuna, G., ”Article 15. Right of access by the data subject”, The EU General Data Protection Regulation (GDPR) Kuner, C., Bygrave, L. A., Docksey, C., (utgivare), Oxford 2020, s. 463.

25 Se, för ett liknande resonemang, ”Riktlinjer om automatiserat individuellt beslutsfattande och profilering enligt förordning (EU) 2016/679” som antogs den 3 oktober 2017 av arbetsgruppen för skydd av enskilda med avseende på behandlingen av personuppgifter (artikel 29-gruppen), s. 28 och s. 30.

26 Se ”Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU)”, Bundesrat – Drucksache 110/17 av den 2.2.2017, s. 101 och s, 102, Abel, R., ”Einmeldung und Auskunfteitätigkeit nach DS-GVO und § 31 BDSG – Frage der Rechtssicherheit im neuen Recht ”, Zeitschrift für Datenschutz, 3/2018, s. 105, har kritiserat det lagförslag som inte anger den öppnandeklausul som 31 § BDSG grundar sig på och uttryckt tvivel om denna bestämmelse är förenlig med unionsrätten.

27 Se, för ett liknande resonemang, Horstmann, J./Dalmer, S., ”Automatisierte Kreditwürdigkeitsprüfung – Externes Kreditscoring im Lichte des Verbots automatisierter Einzelfallentscheidungen”, Zeitschrift für Datenschutz, 5/2022, s. 265.

28 Se punkt 44 i förevarande förslag till avgörande.

29 Dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning) ( C-439/19, EU:C:2021:504, punkt 99).

30 Dom av den 22 juni 2021, Latvijas Republikas Saeima (Prickning) ( C-439/19, EU:C:2021:504, punkt 81).

31 Se, för ett liknande resonemang, von Lewinski, K./Pohl, D., ”Auskunfteien nach der europäischen Datenschutzreform – Brüche und Kontinuitäten der Rechtslage”, Zeitschrift für Datenschutz, 1/2018, s. 19.

32 Se, för ett liknande resonemang, Abel, R., ”Einmeldung und Auskunfteitätigkeit nach DS-GVO und § 31 BDSG – Frage der Rechtssicherheit im neuen Recht”, Zeitschrift für Datenschutz, 3/2018, s. 106.

33 Se ”Entwurf eines Gesetzes zur Anpassung des Datenschutzrechts an die Verordnung (EU) 2016/679 und zur Umsetzung der Richtlinie (EU) 2016/680 (Datenschutz-Anpassungs- und -Umsetzungsgesetz EU – DSAnpUG-EU)”, Bundesrat – Drucksache 110/17 av den 2.2.2017, s. 101 och s. 102. Vid förhandlingen bekräftade den tyska regeringen att det faktiskt rör sig om lagstiftningssyftet med 31 § BDSG.

34 Se, i detta avseende, Guggenberger, N./Sydow, G., Bundesdatenschutzgesetz, första upplagan, Baden-Baden 2020, 31 §, punkterna 2 och 5.

35 Se dom av den 27 mars 2014, LCL Le Crédit Lyonnais ( C-565/12, EU:C:2014:190, punkterna 40 och 42), om kreditgivarens skyldighet enligt artikel 8.1 i direktiv 2008/48 att bedöma konsumentens kreditvärdighet innan ett kreditavtal ingås. Nämnda skyldighet kan innefatta sökningar i relevanta databaser. Enligt EU-domstolen syftar denna skyldighet till att skydda konsumenterna mot riskerna för överskuldsättning och obestånd, genom att säkerställa en hög skyddsnivå för deras intressen och underlätta framväxten av en väl fungerande inre marknad för konsumentkrediter.

36 Se dom av den 6 juni 2019, Schyns ( C-58/18, EU:C:2019:467, punkterna 45 och 46), där EU-domstolen slog fast att kreditgivarens skyldighet enligt artikel 18.5 a i direktiv2014/17 att pröva låntagarens kreditvärdighet innan denne beviljar en kredit syftar till att förhindra ett oansvarigt beteende från marknadsaktörernas sida, som kan underminera det finansiella systemet.

37 Se, för ett liknande resonemang, Sydow, G./Marsch, N., DS-GVO/BDSG, tredje upplagan, Baden-Baden 2022, 31 § BDSG, punkt 6, och Abel, R., ”Einmeldung und Auskunfteitätigkeit nach DS-GVO und § 31 BDSG – Frage der Rechtssicherheit im neuen Recht”, Zeitschrift für Datenschutz, 3/2018, s. 105.

38 Se, i detta avseende, Guggenberger, N./Sydow, G., Bundesdatenschutzgesetz, första upplagan, Baden-Baden 2020, 31 §, punkt 5.

39 Se punkt 66 i förevarande förslag till avgörande.

40 Dom av den 17 juni 2021, M.I.C.M. ( C-597/19, EU:C:2021:492, punkt 106).

41 Se, i detta avseende, förslag till avgörande av generaladvokaten Rantos i målet Meta Platforms m.fl. (Allmänna villkor för tillämpning av ett socialt nätverk) ( C-252/21, EU:C:2022:704, punkt 60).

42 Se punkt 74 i förevarande förslag till avgörande.

43 Se dom av den 4 maj 2017, Rīgas satiksme ( C-13/16, EU:C:2017:336, punkt 30) och dom av den 17 juni 2021, M.I.C.M. ( C-597/19, EU:C:2021:492, punkt 110).

44 Europaparlamentets och rådets direktiv 95/46/EG av den 24 oktober 1995 om skydd för enskilda personer med avseende på behandling av personuppgifter och om det fria flödet av sådana uppgifter (EGT L 281, 1995, s. 31).

45 Se, för ett liknande resonemang, Heberlein, H., DS-GVO – Kommentar, Munich 2017, Art. 6, punkterna 28 och 32.

46 Se, för ett liknande resonemang, Heberlein, H., a.a., punkt 32, Roßnagel, A., Datenschutzrecht Simitis, S., Hornung, G., Spiecker, I., (utg.), München 2019, artikel 6, punkt 23.

47 Se dom av den 22 juni 2022, Leistritz ( C-534/20, EU:C:2022:495, punkt 26).

48 Se dom av den 19 oktober 2016, Breyer ( C-582/14, EU:C:2016:779, punkt 62).

49 Se dom av den 1 augusti 2022, Vyriausioji tarnybinės etikos komisija ( C-184/20, EU:C:2022:601, punkt 66), där domstolen tolkade vissa bestämmelser i direktiv 95/46 och i dataskyddsförordningen på ett enhetligt sätt.

50 Guggenberger, N./Sydow, G., Bundesdatenschutzgesetz, första upplagan, Baden-Baden 2020, 31 §, punkt 6, bekräftar den hänskjutande domstolens bedömning att dessa bestämmelser saknar betydelse för valet av rättslig grund för antagandet av 31 § BDSG.

51 Dom av den 21 juni 2022, Ligue des droits humains ( C-817/19, EU:C:2022:491, punkt 293).